Windows Always On VPN-এ ডিভাইস টানেল নাকি ব্যবহারকারী টানেল?

লগইন স্ক্রিন থেকে একটি ম্যানেজমেন্ট সার্ভারে পৌঁছাতে হবে এমন ল্যাপটপ আর ব্যবহারকারীর প্রমাণীকরণের পরে ফাইল শেয়ারে পৌঁছাতে হবে এমন ল্যাপটপ দুটি ভিন্ন সমস্যা। Windows এদের দুটি ভিন্ন টানেল দিয়ে সমাধান করে, আর পার্থক্যটি প্রোফাইল তালিকায় কোনটি দেখা যায় তা নয়। ডিভাইস টানেল মেশিন হিসেবে চলে, কেউ লগইন করার আগেই। ব্যবহারকারী টানেল ব্যক্তি হিসেবে চলে, প্ল্যাটফর্মের কাজ করার মতো একটি পরিচয় পাওয়ার পরে। এদের মধ্যে বেছে নেওয়া শুরু হয় সেই মুহূর্ত থেকে যখন ট্রাফিক প্রবাহিত হতে হবে, যে রিসোর্সে পৌঁছাতে হবে তা থেকে নয়।

দুটি পরিচয়, দুটি মুহূর্ত

ডিভাইস টানেল মেশিনের প্রসঙ্গে প্রতিষ্ঠিত হয়, তাই এটি ব্যবহারকারীর প্রমাণীকরণের জন্য প্রয়োজনীয় ট্রাফিক বহন করতে পারে, অথবা ম্যানেজমেন্ট এজেন্টদের লগইনের আগেই রিপোর্ট করতে দেয়। ব্যবহারকারী টানেল ব্যবহারকারীর প্রসঙ্গে, লগইনের পরে, ব্যবহারকারীর শংসাপত্র এবং সেই অ্যাকাউন্টে প্রযোজ্য নীতিমালা নিয়ে প্রতিষ্ঠিত হয়।

এই সময়ের পার্থক্যই পুরো নকশা। বাকি সব কিছু তা থেকেই আসে, কোন প্রমাণীকরণ পদ্ধতি পাওয়া যায় এবং কোন রিসোর্স অর্থবহ তা সহ।

যদি প্রয়োজন হয় লগইন করা ব্যক্তির ব্যবহৃত একটি ব্যবসায়িক অ্যাপ্লিকেশন, তবে ব্যবহারকারী টানেল তার উত্তর দেয়। যদি প্রয়োজন হয় লগইন স্ক্রিন থেকে পৌঁছানো যায় এমন ডোমেইন কন্ট্রোলার, সার্টিফিকেট কর্তৃপক্ষ বা ম্যানেজমেন্ট সেবা, তবে কেবল ডিভাইস টানেলই যথেষ্ট আগে থাকে।

ফোন বই কোনো পার্থক্য নয়

সব ব্যবহারকারীর ফোন বইয়ে একটি নেটিভ প্রোফাইল সংরক্ষণ করলে ডিভাইস টানেল তৈরি হয় না। প্রোফাইলটি মেশিনের প্রতিটি ব্যবহারকারীর জন্য পাওয়া যায়, যা সংরক্ষণের পরিধির প্রশ্ন, এবং এটি এখনও ব্যবহারকারীর প্রসঙ্গেই সংযুক্ত হয়।

একটি প্রকৃত ডিভাইস টানেল ঠিক সেভাবেই কনফিগার করা হয়, Microsoft যেসব প্ল্যাটফর্ম, প্রোটোকল ও সার্টিফিকেটের শর্ত এর জন্য নথিভুক্ত করেছে তা নিয়ে। সেই শর্তগুলোর মধ্যে আছে এমন একটি সংস্করণ যা এটি সমর্থন করে, ডোমেইনে যুক্ত একটি ডিভাইস, IKEv2 এবং মেশিন সার্টিফিকেট প্রমাণীকরণ। ব্যবহারকারী টানেল থেকে কপি করে নাম বদলানো device নামের প্রোফাইল এর একটিও পূরণ করে না।

Microsoft-এর ডিভাইস টানেলের নথি প্রোফাইলের আকৃতির জন্য তথ্যসূত্র, এবং একটি কার্যকর ব্যবহারকারী প্রোফাইল পুনরায় ব্যবহার করা যায় ধরে নেওয়ার আগে এটি পড়া উচিত।

প্রতিটি পথ সংকীর্ণ রাখুন

ডিভাইস টানেলের কেবল সেই জায়গাগুলোতে পৌঁছানো উচিত যা মেশিনের লগইনের আগে দরকার: ডিরেক্টরি, সার্টিফিকেট কর্তৃপক্ষ, ম্যানেজমেন্ট এন্ডপয়েন্ট এবং সেগুলো সমাধান করে এমন DNS রেকর্ড। এর রুট ও ফায়ারওয়াল নিয়মগুলো পুরো কর্পোরেট পরিসর নয়, ওই সংক্ষিপ্ত তালিকাই প্রতিফলিত করা উচিত।

ব্যবহারকারী টানেল ব্যক্তির প্রবেশাধিকার বহন করে এবং মোতায়েনের প্রয়োজন অনুযায়ী গোষ্ঠী, অ্যাপ্লিকেশন বা গন্তব্য দিয়ে সীমিত করা যায়। দুটি পরিধি মিশিয়ে ফেললে লগইনের আগের টানেল এমন ফাইল শেয়ার প্রবেশাধিকার পেয়ে যায় যা কোনো মেশিন অ্যাকাউন্টেরই থাকা উচিত নয়।

দুটি টানেল একসাথে মোতায়েন করা যায়, এবং বেশিরভাগ Always On নকশায় তাই করা হয়। ডিভাইস টানেল আগে ওঠে এবং সংকীর্ণ থাকে। ব্যবহারকারী টানেল লগইনের সময় ওঠে এবং কাজের ট্রাফিক বহন করে। যদি কেবল একটি মোতায়েন করেন, তবে কোন ব্যর্থতার সাথে থাকতে পারবেন তা ঠিক করুন। নেটওয়ার্কহীন লগইন স্ক্রিন আর ম্যানেজমেন্ট ট্রাফিক বহনকারী ব্যবহারকারী টানেল—দুটোই খারাপ, তবে সাধারণত আপনার পরিবেশে এদের একটিই গ্রহণযোগ্য।

ধাপটি পরীক্ষা করুন, ব্রাউজার নয়

লগইনের পরে সফল ব্রাউজার অনুরোধ ব্যবহারকারী টানেল প্রমাণ করে এবং ডিভাইস টানেল সম্পর্কে কিছুই বলে না। ধাপগুলো আলাদাভাবে পরীক্ষা করুন: কোল্ড স্টার্ট থেকে লগইন স্ক্রিন, লগইন নিজেই, ব্যবহারকারীর সংযোগ, এবং স্লিপ বা নেটওয়ার্ক পরিবর্তনের পরে পুনরুদ্ধার।

লগইন স্ক্রিনে পরীক্ষা হলো কোনো ব্যবহারকারী লগইন না করেই মেশিনটি ম্যানেজমেন্ট এন্ডপয়েন্টে পৌঁছাতে পারে কি না। এটিই একমাত্র মুহূর্ত যখন ডিভাইস টানেল একা বিদ্যমান, এবং এটিই সেই ধাপ যা মানুষ এড়িয়ে যায়, কারণ এটি পরীক্ষা করতে রিবুট দরকার।

লগইনের পরে ব্যবহারকারী টানেল আলাদাভাবে পরীক্ষা করুন, যার মধ্যে সেই ক্ষেত্রটিও আছে যেখানে ডিভাইস টানেল চালু কিন্তু ব্যবহারকারী টানেল ব্যর্থ হয়েছে। দুটি অবস্থাসহ দুটি টানেল চারটি সমন্বয় তৈরি করে, এবং তাদের মধ্যে কেবল একটি সুস্থ দেখায়।

ব্যর্থ হলে আগে টানেলের নাম বলুন

মেশিন সার্টিফিকেট নবায়ন আর ব্যবহারকারী অ্যাকাউন্ট পুনরুদ্ধার ভিন্ন মালিকের ভিন্ন কাজ। সার্টিফিকেটের মেয়াদ শেষের পরে ব্যর্থ হওয়া ডিভাইস টানেল ব্যবহারকারীর শংসাপত্র রিসেট করে সারানো যাবে না, আর পাসওয়ার্ড পরিবর্তনের পরে ব্যর্থ হওয়া ব্যবহারকারী টানেল মেশিন সার্টিফিকেট পুনরায় ইস্যু করে সারানো যাবে না।

কোন টানেল সক্রিয় ছিল, কোন পরিচয় ব্যবহার করেছিল এবং কোন ধাপ ব্যর্থ হয়েছিল তা লিখে রাখুন, তারপর ব্যবহৃত সংস্করণ ও ম্যানেজমেন্ট পরিবেশের নথিভুক্ত শর্তগুলোর সাথে তা মিলিয়ে দেখুন। পুরোনো সাধারণ VPN উইজার্ড কপি করলেই মোতায়েনে এমন ডিভাইস টানেল তৈরি হয় যা কেবল প্রশাসকদের জন্য কাজ করে।

কাজের ক্রম: ট্রাফিক কখন প্রবাহিত হতে হবে সেই মুহূর্তের নাম দিন, সেই মুহূর্তে বিদ্যমান টানেল বেছে নিন, এর রুট সংকীর্ণ করুন, প্রতিটি জীবনচক্রের ধাপ আলাদাভাবে পরীক্ষা করুন, এবং দুটি পরিচয়ের পুনরুদ্ধার পদ্ধতি আলাদা রাখুন।